Windows Server 2022远程桌面怎么开启？完整教程+安全配置

出于安全考虑，Windows Server 2022默认是关闭远程桌面（RDP）的，需要管理员手动启用后才能远程连接、部署应用或排查故障。本文提供三种启用方法（GUI/PowerShell/RDS），包含获取服务器信息、建立连接的完整流程，以及RDS授权模式配置和安全加固建议——不管你是刚需要开启RDP、想连上服务器，还是要处理RDS授权报错，都能在下面找到对应内容

启用远程桌面的方法

Windows Server 2022 提供多种启用远程桌面的方法，以满足不同管理员的偏好。本节介绍三种主要方法：GUI、PowerShell 和远程桌面服务（RDS），保证灵活配置的同时维持高安全标准。

方法	适合场景	操作难度
服务器管理器（GUI）	偶尔操作、习惯图形界面的管理员	低，跟着提示点击即可
PowerShell	需要批量配置多台服务器、追求自动化	中，需熟悉基本命令
远程桌面服务（RDS）	需要多用户同时连接、发布特定应用	高，涉及角色安装和授权配置

如果只是单人临时远程维护一台服务器，用GUI方式最快；如果要管理多台服务器，PowerShell能省去重复点击的时间；如果需要让多个用户同时登录同一台服务器，或者只想让用户访问某个特定应用而不是整个桌面，就需要安装RDS角色——这一点原生GUI/PowerShell方式都无法直接实现，具体的授权配置会在后面单独讲。

方法一：通过服务器管理器（GUI）启用

第一步：打开服务器管理器 点击"开始菜单"选择"服务器管理器"，或按 Windows + R，输入 ServerManager 回车。

第二步：找到远程桌面设置 在左侧导航栏点击"本地服务器"，找到"远程桌面"这一项，默认状态会显示为"已禁用"。

第三步：启用远程桌面 点击"已禁用"，在弹出的系统属性窗口中选择"允许远程连接到此计算机"。建议同时勾选"仅允许运行使用网络级别身份验证的远程桌面的计算机连接"，这一步能有效降低暴力破解的风险，具体原理会在下文安全部分详细说明。

第四步：确认防火墙规则 系统通常会自动提示启用对应的防火墙规则，点击"确定"即可；也可以手动进入Windows Defender防火墙设置，确认3389端口已经放行。

第五步：添加允许连接的用户 默认情况下只有管理员账户能连接。如果需要让非管理员账户也能远程访问，点击"选择用户"，通过"添加用户或组"对话框指定具体账户或用户组。

方法二：通过PowerShell启用

如果需要给多台服务器批量配置，PowerShell会比逐台点击GUI快得多。

以管理员身份打开PowerShell（在开始菜单搜索PowerShell，右键选择"以管理员身份运行"），依次执行以下命令：

第一步：以管理员身份打开 PowerShell

在开始菜单搜索 PowerShell
右键选择“以管理员身份运行”

第二步：通过注册表启用远程桌面

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0

第三步：开启对应的防火墙规则

Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

第四步：测试端口是否可以正常连通

Test-NetConnection -ComputerName <ServerName> -Port 3389

方法三：安装远程桌面服务（RDS）

如果需要多个用户同时连接同一台服务器，或者只想发布某个具体应用而不是整个桌面，就需要走RDS这条路径。

第一步：添加RDS角色

打开服务器管理器，选择"添加角色和功能"，按照向导选择"远程桌面服务"。

第二步：发布应用或桌面

通过远程桌面连接代理，选择要发布的远程应用或虚拟桌面，并确认目标用户已被授予访问权限。

角色装完之后，别忘了还有一步很多人会漏掉——RDS授权配置。如果不配置，系统会给120天的宽限期，宽限期过后用户会被直接拒绝连接，具体怎么配置见下文单独一节。

RDS能实现真正的多用户并发访问，但配置过程涉及角色安装、授权模式选择和资源发布，对不熟悉Windows Server的管理员来说门槛不低，后续的CAL授权采购和管理也是一笔持续投入。如果只是想让团队快速实现多人远程访问，不想处理这些配置细节，也可以考虑TSplus这类专门为多用户远程访问设计的方案，部署和授权模式都更简化。

远程桌面授权（RDS CAL）怎么配置

这一步是很多人卡住的地方——RDS角色装好了，能用了，但没配置正式授权，120天宽限期一过，用户连接会被直接拒绝，并提示类似"没有远程桌面许可证服务器可以为此计算机提供许可证"的错误。

第一步：安装RD授权服务器角色

服务器管理器 > 添加角色和功能 > 远程桌面服务 > 远程桌面授权。可以和RD会话主机装在同一台服务器上，也可以单独部署在网络里的另一台服务器上。

第二步：激活授权服务器

打开"远程桌面授权管理器"，右键对应服务器选择"激活服务器"，按向导完成激活——微软提供自动、Web浏览器、电话三种激活方式，国内网络环境下如果自动激活失败，可以尝试Web浏览器方式。

第三步：安装客户端访问许可证（CAL）

激活完成后，通过向导购买并安装RDS CAL。

第四步：在RD会话主机部署中指定授权服务器和授权模式

进入服务器管理器 > 远程桌面服务 > 概述 > 部署概述，点击"编辑部署属性"，在"RD授权"标签中填入授权服务器地址，并选择授权模式。

启用RDP之后，这几项安全配置不能省

RDP一旦对外开放，就会成为扫描和暴力破解攻击的常见目标，下面这五项是启用RDP后建议优先做的安全加固：

1. 启用网络级别身份验证（NLA） NLA要求用户在真正建立远程会话之前先完成身份验证，能有效拦截大部分自动化暴力破解尝试。配置方法：在系统属性的"远程"标签中勾选"仅允许运行使用网络级别身份验证的远程桌面的计算机连接"。

2. 限制可以连接的用户范围 建议删除或重命名默认的Administrator账户（这是攻击者最常尝试的账户名），改用远程桌面用户组管理具体授权账户，并定期审计权限，移除已经离职或不再需要访问权限的账户。

3. 强制使用强密码策略 建议密码至少12位，包含大小写字母、数字和特殊字符，每60-90天强制更换一次，登录失败达到一定次数后自动锁定账户。可以通过本地安全策略或组策略配置，路径为：计算机配置 > Windows设置 > 安全设置 > 账户策略 > 密码策略。

4. 限制允许连接的IP地址范围 打开"Windows Defender高级安全防火墙"，为RDP创建入站规则，只允许信任的IP范围连接，阻止其他所有RDP入站流量。这一项能大幅降低来自未知来源的攻击风险，也可以配合VPN一起使用，进一步收窄暴露面。

5. 启用双因素认证（2FA） 在密码之外增加一层验证（比如手机App或硬件令牌），即使密码泄露，攻击者没有第二层凭证也无法登录。可以选择DUO Security、Authy等第三方方案，或使用Microsoft Authenticator配合Azure AD实现。

测试连接是否配置成功

启用完成后，先确认能正常连上，再考虑授权和安全加固的细节。

第一步：获取服务器信息 需要用到服务器的IP地址或计算机名称。可以在服务器上打开命令提示符，输入 ipconfig /all 查看IPv4地址。
第二步：发起连接 在客户端电脑上，按 Windows + R，输入 mstsc 回车，打开远程桌面连接工具，输入服务器IP地址或主机名。
第三步：验证身份 输入已授权账户的用户名和密码（如果启用了NLA，需确保凭据格式符合要求），点击"连接"，确认远程桌面会话能正常启动。

如果连接失败，优先检查防火墙规则、网络配置和服务器运行状态，文末的"常见问题排查"部分列了几个最常见的报错原因。

不同平台访问

Windows：内置远程桌面连接
macOS：Microsoft Remote Desktop（App Store）
Linux：RDP 客户端如 Remmina
移动设备：iOS/Android 下载 Microsoft Remote Desktop App

常见问题排查

提示连接错误：确认3389端口已经开放，并且客户端能ping通服务器。
用户名密码正确，但提示认证失败：核对账户是否已经加入远程桌面用户组，而不只是密码本身是否正确。
提示没有可用的许可证服务器：参考上文"RDS授权配置"部分，确认授权服务器已激活并正确指定。
会话画面卡顿、响应慢：尝试降低分辨率、关闭视觉特效等高资源消耗的显示设置，网络带宽有限时效果会比较明显。

需要更高级的远程访问能力时

上面的配置能满足单台服务器、基础安全需求的场景。但如果IT团队需要同时管理多台服务器的访问权限、需要更细粒度的应用发布控制，或者希望有统一的会话管理和审计入口，同时不想处理RDS CAL授权这类额外的采购和管理流程，TSplus Remote Access可以在原生RDP的基础上提供更完善的多用户并发支持、应用发布能力和增强的安全功能，更贴近现代企业IT环境的实际需求

总结

在Windows Server 2022上启用远程桌面并不复杂，GUI、PowerShell、RDS三种方式可以按实际场景灵活选择。真正容易被忽略、也最容易导致后续问题的，是RDS授权配置和安全加固这两步——授权没配置好，宽限期一过用户就连不上；安全没做到位，RDP端口对外开放后很容易成为攻击目标。建议在启用RDP的同时就把这两块一并规划好，而不是等出问题了再回头补救。